Cursorによると、AnthropicのClaude Code拡張機能を改ざんしたものが、2026年10月29日に同社のVS Code拡張機能マーケットプレイスで約11時間公開されていた。対象となったパッケージはバージョン2.1.313で、最大5,000人のユーザーが影響を受けた可能性がある。悪意あるバージョンを作成・公開したのはAnthropicではない。
この拡張機能は、コンピューター名、ユーザー名、OS、自宅フォルダーのパス、Gitのメールアドレス、公開IPアドレスなどの情報を収集しようとしていた。また、攻撃者が管理する鍵をコンピューターのSSH設定に追加し、リモートアクセス用のトンネルを常時稼働させようとしていた。
この拡張機能で何が起こり得たのか
Cursorによると、トンネルの作成は通常、macOSとWindowsでは失敗する。ローカルのSSHサービスを有効にするには管理者権限が必要だが、拡張機能には通常その権限がないためだ。悪意あるコードにはエラーもあった。ただし、攻撃のすべてが失敗したとは限らない。Cursorによると、拡張機能は収集した情報を送信し、攻撃者の鍵を追加したり、バックグラウンドで動き続けるスクリプトをインストールしたりすることは可能だった。
The Registerによると、改変されたパッケージを最初に発見したのはセキュリティ企業Phorionだった。Anthropicの技術スタッフであるFelix Rieseberg氏は、今回の問題はCursorのマーケットプレイスへのアクセスに関するものであり、Anthropicのシステムや従業員のノートPCが侵害されたわけではないと述べた。同社によると、Anthropic公式の拡張機能のバージョンは影響を受けていない。
影響を受けた可能性があるユーザーがすべきこと
Cursorは該当パッケージを削除し、調査中はマーケットプレイスを停止して、ほかの拡張機能を確認した。また、マーケットプレイスの復旧前に鍵を更新し、サーバーのホスティング事業者と連携して攻撃者の接続を遮断した。Cursorは、ほかの拡張機能が改ざんされた証拠は見つかっていないとしている。
公開されていた期間中にCursorのマーケットプレイスからバージョン2.1.313をインストールまたは更新した人は、Cursorのセキュリティ対策の案内に従う必要がある。案内には、「svc-telemetry」と記された不正なSSH鍵がないか確認すること、永続化用のファイルやトンネルのプロセスを削除すること、信頼できるデバイスから認証情報を更新することが含まれる。Cursorは、拡張機能をアンインストールするだけでは、別に存在するバックグラウンドスクリプトが削除されない場合があると警告している。
悪意あるパッケージがどのようにマーケットプレイスに入り込んだのか、Cursorは説明していない。同社によると、調査結果はこの特定のパッケージに関するものであり、ほかのバージョンやAnthropic公式の配布経路が影響を受けた証拠はない。
なぜ重要か
公開期間中にCursor経由でこの特定の拡張機能バージョンをインストールした開発者は、端末を確認し、その端末で使用した認証情報を更新する必要がある。拡張機能をアンインストールするだけでは、悪意あるスクリプトが残る可能性がある。Cursorはパッケージがマーケットプレイスに入り込んだ経緯を明らかにしておらず、侵入経路は不明のままだ。
